上一篇
非度单点登录的常见问题有哪些，如何解决？
什么是非度单点登录
非度单点登录（FIDO SSO）是基于 FIDO（Fast IDentity Online）联盟标准构建的单点登录方案，它利用公钥密码学替代传统密码，通过生物识别、PIN 或安全密钥实现无密码认证，并支持跨域、跨设备的统一登录体验。
核心工作原理
- 注册阶段：用户在设备上生成一对公私钥，私钥安全存储在设备（如 TPM、Secure Enclave）,公钥发送至服务器。
- 认证阶段：服务器发送挑战（随机数），用户通过设备私钥签名，服务器用公钥验证签名，无需密码,避免凭证泄露风险。
- 单点登录：一次认证后，生成 session 或 token，被其他应用信任,实现跨系统无缝访问。
与传统 SSO 的对比
| 特性 | 传统密码 SSO | 非度 SSO（FIDO） |
|---|---|---|
| 认证方式 | 密码 / 口令 | 生物识别 / PIN / 密钥 |
| 凭据存储 | 服务器存储密码哈希 | 私钥存储在用户设备 |
| 网络传输 | 可能传输密码 | 只传输签名，不传输秘密 |
| 防钓鱼 | 弱 | 强（私钥不出设备） |
| 用户体验 | 频繁输入密码 | 一键或指纹即可 |
| 部署成本 | 低 | 需支持 WebAuthn 等协议 |
关键优势
-
安全性：私钥从不离开设备,杜绝服务器泄露和大规模凭证窃取。
- 防钓鱼：认证时绑定域名,即使杜撰页面也无法获取私钥。
- 跨平台：FIDO2 / WebAuthn 被主流浏览器和操作系统支持。
- 无密码：降低密码管理成本,提升用户体验。
实施要点
- 需要身份提供商（IdP）支持 FIDO2 协议。
- 用户需注册设备（如指纹、安全密钥）。
- 建议结合备份策略（如多设备注册或恢复码）以防设备丢失。
- 支持与现有 SSO 单点登录流程集成，如 OAuth 2.0 + FIDO 认证。
相关问题与解答
非度单点登录是否需要每台设备都注册？
解答：是的，每个设备需要单独注册公钥，但用户可以使用同一 FIDO 密钥在不同设备上通过同步（如云密钥同步）或使用便携式安全密钥（如 YubiKey）实现跨设备使用，部分平台（如苹果、谷歌）支持密钥在生态内自动同步,从而减少重复注册。
非度 SSO 如何应对设备丢失或损坏？
解答：设备丢失后，用户可通过以下方式恢复：1）使用预先注册的备用设备（如第二台手机或安全密钥）登录；2）通过 IdP 提供的恢复流程（如邮箱验证、备份码）重新注册新设备；3）利用平台密钥同步功能（如 iCloud Keychain 或 Google 密码管理器）自动恢复密钥,建议在注册时设置至少两种认证方式。
